보안 수단으로서의 네트워크 주소 변환(NAT)에 대한 오해
소개
서비스 제공업체 네트워크에서 네트워크 주소 변환(NAT)은 주로 가입자 인터넷 에지 지점에서 가장 많이 사용됩니다. 하지만 안타깝게도 이 지점은 서비스 제공업체 네트워크 내에서 가장 큰 위협에 노출되는 최대 공격 표면이기도 합니다. 모바일 네트워크에서는 이 영역을 Gi LAN, SGi LAN, 모바일 에지 등 다양한 용어로 부릅니다. 보다 일반적으로 말하면, 순수 인터넷 연결이 특정 액세스 기술(예: 무선, 케이블 또는 광섬유)을 관리하는 게이트웨이와 만나는 지점입니다. 게이트웨이는 특정 액세스 네트워크에서 가입자 연결을 관리하는 데는 매우 뛰어나지만, 보안 기능이 제한적이거나 비용이 지나치게 많이 들기 때문에 보안 제어 또는 주소 변환을 적용하는 데는 적합하지 않습니다.
과거 서비스 제공업체들은 NAT가 가입자 인터넷 에지에서 주소 변환과 보안을 모두 제공할 수 있다는 잘못된 가정에 매달려 왔습니다. 보안 업계는 이러한 오해를 불식시키려 노력해 왔지만 여전히 사라지지 않고 있으며, 공격이 갈수록 증가하는 오늘날의 환경에서 모바일 및 유선 서비스 제공업체는 NAT만으로는 충분하지 않은 이유를 이해해야 합니다. 이를 이해하려면 먼저 가입자 트래픽이 집선되는 지점에서는 인바운드 트래픽 차단 외에도 다양한 유형의 보안 서비스가 필요하다는 점을 인식해야 합니다.
가입자 집선 보안
일반적인 아키텍처 솔루션은 게이트웨이와 인터넷 사이에 상태 저장형 시스템을 배치하여 가입자와 네트워크에 다양한 서비스를 제공하는 방식으로 구성됩니다. 일반적인 보안 서비스 유형은 다음과 같습니다:
- DDoS 보호. 일반적으로 인터넷에서 발생하는 대규모 공격을 방어하는 분산 서비스 거부(DDoS) 공격 완화는 정상적인 용도가 없는 패킷을 제거하고 일반적인 동작 패턴에서 벗어나는 패킷을 제한하는 방식으로 이루어집니다.
- 포트 및 프로토콜 제한. 10여 년 전만 해도 서비스 제공업체는 모든 가입자에게 송수신 방향의 접근을 전면 허용했습니다. 이는 많은 애플리케이션의 연결을 원활하게 해 주었지만, 네트워크 리소스를 과도하게 소모하는 바이러스와 웜이 확산되기 좋은 환경을 제공하기도 했습니다. 오늘날 대부분의 서비스 제공업체는 멀웨어가 확산될 위험을 줄이기 위해 네트워크에서 일부 프로토콜을 차단하고 다른 프로토콜의 사용도 제한합니다.
- 인프라 보호. IP 연결의 장점은 IP 주소를 가진 누구나 전 세계의 다른 모든 IP 주소와 통신할 수 있다는 점입니다. 그러나 이로 인해 가입자가 정당한 이유 없이 서비스 제공업체 네트워크의 시스템에 접속할 가능성도 생깁니다. 따라서 가입자 집선 지점에서 인프라를 보호하기 위한 통제 조치를 구현하는 것이 매우 중요합니다.
- 봇넷 완화. 어느 시점이든 많은 가입자의 시스템이 바이러스와 악성코드에 감염되어 인터넷상의 명령 및 제어(C&C) 시스템과 통신하고 있습니다. 이러한 통신을 제한하면 봇넷 공격에 가입자 장치가 악용되는 것을 줄일 수 있어 가입자와 네트워크 모두에 도움이 됩니다.
- 서비스 적용 유형. 많은 서비스 제공업체는 가입자가 다양한 유형의 연결을 이용할 수 있도록 여러 가지 서비스 상품을 제공합니다. 예를 들어, 기업 고객에게는 프로토콜 사용에 제한이 없고 서버를 호스팅할 수 있는 고정 IP 주소가 필요할 수 있습니다. 반면, 하위 등급의 소비자용 서비스에서는 모바일 장치에서 서버를 실행하지 못하도록 제한할 수 있습니다. 또는 CPE의 펌웨어와 소프트웨어를 업데이트하기 위한 관리용 연결에 특수한 IP 주소 클래스를 사용할 수도 있습니다. 이동통신 서비스 제공업체가 LTE 음성통화(VoLTE)를 구축할 때는 연결이 제한된 전용 APN을 사용해야 하며, 그렇지 않으면 수익 누수 위험이 크게 증가합니다.
이러한 다섯 가지 보안 제어 사례가 전부는 아니지만, 최신 네트워크의 가입자 집선 지점에 필요한 기본 기능을 잘 보여 줍니다. 이를 고려하면 NAT 솔루션은 최신 네트워크를 안전하게 보호하는 데 충분한 기능을 제공하지 못합니다. (어떤 회사가 위 기능 중 하나라도 수행하는 통신사업자급 NAT(CGNAT) 솔루션을 제공한다면, 이는 사람과 사물을 연결하는 능력이라는 서비스 제공업체의 가장 중요한 자산을 보호하는 데 NAT만으로는 충분하지 않음을 인정하는 셈입니다.) 위와 같은 서비스를 통해 가입자 인터넷 에지를 보호하기 위한 적절한 솔루션은 NAT가 아니라 F5® BIG-IP® Advanced Firewall Manager™(AFM)와 같은 통신사업자급 네트워크 방화벽입니다.
기술적 논거
NAT로는 전혀 방어할 수 없는 다른 보안 위협이 많다는 점을 확인했으므로, 이제 원치 않는 트래픽을 최소한으로 차단하는 용도라 하더라도 NAT를 보안 서비스로 사용하는 것에 관한 기술적·비즈니스적 오해를 바로잡아 보겠습니다.
상태 저장 및 비상태 저장 인바운드·아웃바운드 트래픽: IPv6
NAT는 중첩되는 사설 주소 공간에 있는 호스트 간의 통신을 원활하게 하기 위해 만들어졌지만, 개별 IP 주소의 가용 개수보다 더 많은 호스트에 네트워크 연결을 제공하는 것을 주된 목적으로 널리 배포되어 왔습니다. NAT와 관련된 보안 문제는 오래전부터 문서화되어 왔습니다. (Internet Engineering Task Force(IETF)의 RFC2663 및 RFC2993에서 보안 고려 사항 섹션을 참조하십시오.) 이러한 우려는 IPv6가 만들어진 주요 배경이 되었습니다. 전 세계적으로 IPv6로의 전환이 한동안 진행되어 온 현재, IPv6를 사용하는 호스트에는 더 이상 NAT가 필요하지 않습니다. 따라서 NAT는 IPv6 호스트에 어떠한 보호 기능도 제공할 수 없습니다.
상태 저장형 NAT46 또는 NAT64 게이트웨이가 어느 정도의 보안을 제공할 수 있다는 주장이 있을 수 있습니다. 그러나 이러한 보안은 부분적이고 일시적일 뿐입니다. CGNAT는 주로 한쪽이 IPv6로 전환되지 않은 경우 호스트 간 트래픽을 변환하도록 설계되었습니다. 즉, 궁극적인 목표는 CGNAT 장치를 제거하고 변환 없이 네이티브 IPv6 트래픽을 허용하는 것입니다. 통신사업자급 네트워크 방화벽이 없으면 NAT 장치는 사업자의 완전한 IPv6 전환을 가로막는 장애물이 됩니다.
또한 현재 많은 서비스 제공업체 네트워크가 IPv4/IPv6 듀얼 스택 구성을 제공하고 있습니다. 이 경우 서비스 제공업체가 NAT44를 활성화했더라도 IPv6 인터페이스에는 NAT가 적용되지 않습니다. 이는 해당 조직이 IPv4 인터페이스의 보안에는 NAT만으로 충분하다고 판단하면서도 동일한 호스트를 IPv6 인터페이스에서는 완전히 개방된 상태로 둔다는 의미로, 논리적으로 모순됩니다. 완전히 동일한 위협이 두 프로토콜 모두에 적용되는데도 네트워크 설계자가 IPv4에는 보호가 필요하지만 IPv6에는 필요하지 않다고 생각할 이유가 무엇일까요?
사업자가 보안 부족을 IPv6 전환의 걸림돌로 받아들이지 않을 것이므로, 현재로서는 통신사업자급 네트워크 방화벽을 해결책으로 제시해야 합니다. 지금 CGNAT 단일 기능 제품을 구축하면 향후 사업자는 장비와 소프트웨어를 다시 구매하고 네트워크도 재설계해야 합니다. 서비스 제공업체 네트워크를 변경하는 것은 어려운 과정이므로 이로 인해 비용이 크게 증가합니다. 반면, 통신사업자급 네트워크 방화벽에 CGNAT 기능을 구현하면 보안 기능의 동등성과 용량 측면에서 IPv6로 원활하게 전환할 수 있습니다.
상태 비저장 인그레스 및 이그레스: IPv4
일반적으로 무상태 NAT는 드물게 사용되지만, 일부 특수한 상황에서는 활용될 수 있습니다. 무상태 장치는 가입자 장치의 요청 여부와 관계없이 역방향 NAT가 허용된 포트로 들어오는 모든 트래픽을 허용합니다. 상태를 유지하지 않으므로 NAT가 필요한 호스트가 어떤 트래픽을 전송했는지 알 수 없으며, 따라서 모든 반환 트래픽을 허용해야 합니다. 무상태 NAT는 대부분의 NAT 사용 사례에도 적합하지 않을 수 있으며, 보안이 필요한 용도에는 전혀 적합하지 않다는 점을 분명히 알 수 있습니다.
상태 저장형 이그레스: IPv4
상태 저장형 송신 IPv4 NAT를 사용하면 운영자는 대부분의 경우 외부에서 시작된 트래픽으로부터 내부 호스트를 부분적으로 보호할 수 있습니다. 그러나 내부 호스트를 완전히 보호하지는 못하며, 해당 내부 호스트가 NAT 장치에 연결된 다른 네트워크 리소스를 공격할 경우 이에 대응할 수도 없습니다. 많은 경우 침해된 다수의 내부 호스트가 봇넷의 명령 및 제어를 위해 인터넷에 접속할 수 있습니다. 드물지만 피해가 가장 심각한 일부 사례에서는 이러한 침해된 호스트가 내부 서비스 제공업체 네트워크를 대상으로 한 지능형 공격이나, 원치 않는 세간의 주목을 불러올 상위 기업 또는 정부 기관을 겨냥한 외부 공격의 발판으로 사용됩니다. 이러한 유형의 사고를 수습하는 데 드는 비용은 솔루션 도입 비용을 훨씬 능가합니다.
상태 저장형 인그레스: IPv4
상태 저장형 인바운드 IPv4 트래픽은 NAT가 보안 보호 기능을 제공한다고 합리적으로 주장할 수 있는 유일한 트래픽 유형이며, 그마저도 특정 조건에서만 성립합니다. 이러한 통념은 여전히 남아 있지만, 위의 설명에서 분명히 알 수 있듯이 해당 IPv4 트래픽은 네트워크에 연결된 호스트가 노출하는 공격 표면의 일부에 불과합니다. 또한 최신 공격 기법은 경로상에 NAT 장치가 존재하며 이를 무력화해야 한다고 전제하므로, 상태 저장형 NAT는 인바운드 IPv4 트래픽에 대해서도 별다른 보호 기능을 제공하지 못합니다. 호스트의 정적 변환 및 목적지 변환은 어떠한 보안도 제공하지 않습니다.
NAT가 제공한다고 여겨지는 보안의 일부는 난독화에 의존하지만, 보안 커뮤니티에서는 이를 실질적인 해결책으로 간주하지 않습니다. 난독화는 다른 방법으로도 얻을 수 있는 정보를 찾기 어렵게 만들 뿐이므로 아무것도 방지하지 못합니다. 상태 저장형 인바운드 NAT 보안에 관한 통념의 또 다른 요소는 NAT가 ‘일방통행’을 제공한다고 여기는 것입니다. 하지만 실제로는 그렇지 않습니다. 상태 저장형 인바운드 IPv4 NAT가 외부에서 시작된 TCP 트래픽을 거부하는 것은 사실이지만, 그렇다고 해서 외부 호스트가 특정 상황에서 내부 호스트로 트래픽을 보내거나 다른 방법을 사용해 NAT를 우회할 수 없다는 뜻은 아닙니다. 실제로 대부분의 네트워크 기반 공격은 이를 침해의 필수 조건으로 전제합니다.
이러한 우회를 수행하는 방법은 여러 가지가 있으며, 모두 방화벽으로 차단할 수 있습니다. 먼저 공격자는 표적 공격이나 스윕 공격을 사용하여 NAT 장치의 상태 테이블에서 열려 있는 포트로 트래픽을 전송할 수 있습니다. 이 공격의 목적은 호스트 또는 NAT 상태 테이블의 기존 세션을 무효화하여 서비스 거부(DoS)를 일으키거나, 내부 네트워크의 정보를 수집하거나, 내부 호스트를 침해하기 위해 제3자의 기존 세션에 악성 코드 페이로드를 삽입하는 것일 수 있습니다. 설계상 상태 비저장 방식인 UDP 트래픽에서는 특히 심각한 문제가 발생할 수 있지만, 호스트에 취약점이 있다면 TCP나 다른 프로토콜에서도 동일한 공격이 가능합니다. 또한 NAT는 방화벽이나 고급 보안 장치가 기본적으로 제공하는 프로토콜 준수 여부 검사, 시퀀스 번호 검사 또는 기타 계층 2나 계층 3의 DoS 보안 조치를 제공하지 않을 수 있습니다. 보안 침해가 발생했을 때 대응할 수 있는 도구도 NAT에는 없습니다.
비즈니스 측면의 논거
통신사업자급 네트워크 방화벽을 도입해야 하는 비즈니스상의 근거는 명확합니다. 우선, 오늘날 어떤 서비스 제공업체도 막대한 피해를 초래하고 때로는 세간의 이목을 끄는 보안 침해를 감당할 수 없습니다. 방화벽과 네트워크 주소 변환 서비스가 하나로 묶여 제공되는 경우가 많은 것도 이 때문입니다. 최신 모바일 네트워크에서 발생할 수 있는 금전적 피해는 수백만 달러를 훌쩍 넘을 수 있으며, 일부 공격은 브랜드 전체를 무너뜨릴 수도 있습니다.
둘째, NAT 장치만 있는 경우 서비스 제공업체는 공격에 대응할 수단이 없어 임시방편을 찾을 때까지 속수무책으로 공격을 견뎌야 합니다.
마지막으로, 고급 방화벽 장비를 사용하는 역량 있는 서비스 제공업체는 고객에게 제공하는 상품에 추가 보안 서비스를 더할 수 있습니다. 전통적으로 이러한 부가 서비스는 비즈니스 자산을 보호해야 할 명확한 필요성이 있는 기업 고객을 유치합니다. 이러한 기능을 갖춘 방화벽 장비가 없다면 서비스 제공업체는 해당 수익을 창출할 기회를 얻지 못할 것입니다. 실제로 고급 보안 기능을 갖춘 NAT 및 방화벽 통합 솔루션을 선보이지 않으면, 고객은 서비스 제공업체의 제품군이나 전문성에 공백이 있다고 생각할 수 있습니다.
결론
오늘날의 정교한 공격을 고려할 때 NAT가 유의미한 보안 기능을 제공한다는 통념은 이제 불식되어야 합니다. 실제로 기술적인 관점에서 NAT가 제공하는 것은 다음과 같습니다:
- IPv6 호스트에는 NAT가 필요하지 않으므로 보안 효과가 없습니다.
- 상태 비저장 NAT 호스트에 대한 보안 기능이 없습니다.
- 상태 저장형 NAT 호스트의 아웃바운드 공격에 대한 보안 기능이 없습니다.
- 최신 공격은 NAT 장치가 존재한다고 가정하고 해당 장치를 손쉽게 침해하거나 우회하므로, 상태 저장형 NAT 호스트에 대한 인바운드 공격 방어 효과는 미미합니다.
- 일상적으로 발생하는 보안 공격에 대응할 수 있는 도구가 없습니다.
비즈니스 관점에서 볼 때, 에지 NAT 및 보안 솔루션의 일부로 BIG-IP AFM과 같은 통신사업자급 네트워크 방화벽을 구축하지 않으면 심각하고 지속적인 매출 누수가 발생할 위험이 있으며, 이는 서비스 제공업체의 혁신 부족을 드러냅니다.
반면, F5가 제공하는 것과 같이 적절하고 기능이 풍부한 통신사업자급 방화벽을 구축한 서비스 제공업체는 네트워크 보안에 대한 실질적인 확신을 얻고, 공격에 따른 재정적 위험과 평판 훼손 위험을 완화하며, 고객에게 최첨단 고부가가치 보안 서비스를 제공해 매출을 증대할 기회를 활용할 수 있습니다.
2016년 2월 10일 게시